Wie werden Abhängigkeiten auf Schwachstellen geprüft?
amaise prüft alle Drittanbieter-Abhängigkeiten automatisch bei jedem Build:
Werkzeug | Sprache | Verhalten |
OWASP Dependency Check | Java | Build schlägt bei CVSS ≥ 7 fehl |
Snyk | Python | Kontinuierliches Monitoring mit Alerting |
npm audit | TypeScript | Bei jedem Build |
pip-audit | Python | Bei jedem Build |
Zusätzlich werden Lizenzprüfungen durchgeführt: Eine automatische Prüfung in den Python- und TypeScript-Builds blockiert Copyleft-Lizenzen (GPL, AGPL, SSPL), um Lieferketten-Risiken zu vermeiden. Wenige Ausnahmen sind namentlich und mit Begründung dokumentiert.
Alle Abhängigkeiten sind versionsfixiert (keine Floating Versions). Die eingesetzten Runtimes und Frameworks werden auf den jeweils aktuellen LTS-Hauptversionen gehalten. Abhängigkeiten werden ausschliesslich aus offiziellen Registries (Maven Central, PyPI, npm) bezogen.